私有仓库服务不一定支持composer 2协议，需验证响应头是否含content-sha256或存在.sig签名文件；不支持则provider加载中断报错。
私有仓库服务是否支持Composer 2协议？先看响应头
不是所有私有仓库服务（如旧版 Satis、自建 Nginx 反代、未升级的 Artifactory）都默认支持 Composer 2.x 的元数据校验机制。关键判断依据是：packages.json 和 provider-*.json 响应中是否包含 Content-SHA256 头，或配套提供 .sig 签名文件。
执行命令验证：
curl -I https://packages.example.org/packages.json
若返回中不含 Content-SHA256，或 curl https://packages.example.org/provider-laravel~framework.json.sig 返回 404，则说明服务端未启用 Composer 2 协议支持——客户端即使配置正确，也会在加载 provider 阶段中断并报 Invalid package information。
- Satis 1.0.0+ 默认不生成签名；需配合
--sign参数构建，并确保 Web 服务器允许.sig文件 MIME 类型为application/pgp-signature - Artifactory 7.59+ 开始原生支持哈希透传与签名，低于此版本需启用“Composer Repository Signing”功能并配置 GPG 密钥
- GitLab Package Registry 原生支持，但仅限启用了 Composer 支持的 Group/Project 级仓库，且
composer.json中name必须与 GitLab 包路径严格一致
客户端 composer.json 必须显式禁用 packagist.org
Composer 2.x 仍默认优先查询 packagist.org，哪怕你已在 repositories 里写了私有源 URL。只要没关掉默认源，私有包就永远不会被匹配，composer require vendor/package 会直接报 Could not find package。
必须在项目根目录 composer.json 中添加：
{
"repositories": [
{
"type": "composer",
"url": "https://packages.example.org/"
}
],
"packagist.org": false
}
"packagist.org": false 这一行不能省，也不能写成 "packagist": false 或放在 config 下。URL 末尾斜杠 / 也必须保留，否则 404 后 Composer 会静默 fallback 到官方源。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 若使用虚拟仓库（如 Artifactory Virtual），确保其后端至少有一个
type: composer的本地或远程仓库，Generic 类型不兼容 - 全局镜像（
composer config -g repo.packagist）会被项目级repositories完全屏蔽，升级后老项目若留着已停用的镜像地址，会直接卡死在Loading composer repositories
升级后首次 update 必须清理 lock 与 vendor
Composer 2.x 解析器重写，旧 composer.lock 文件中的依赖图结构与哈希格式不兼容。直接 composer update 很可能失败，或降级回旧版本逻辑导致行为异常。
安全做法是清空重建：
- 删掉
composer.lock和vendor/目录 - 运行
composer install（非update），让新解析器从头生成锁文件 - 若需更新特定包，用
composer require vendor/package:^2.0显式指定约束，避免模糊匹配触发旧解析逻辑
特别注意：私有包若 composer.json 中 version 字段写死为 "dev-main"，而服务端未配置收录 dev 分支（如 Satis 缺少 "require-dependencies": true），则 install 会跳过该包——此时需手动在私有源配置中加 "require": {"vendor/package": "dev-main"} 并重建服务端索引。
auth.json 权限与域名匹配必须严格
私有仓库启用 HTTPS 认证后，auth.json 若放错位置、权限不对或域名 key 不匹配，Composer 2.x 会静默忽略，不报错也不提示，最终表现为 401 Unauthorized 或 Could not parse version constraint。
确认以下三点：
- Linux/macOS 路径必须是
~/.composer/auth.json（不是项目内），权限设为600：chmod 600 ~/.composer/auth.json - GitLab 场景下，
auth.json中的域名 key 必须和repositories.url的 host 完全一致，例如"gitlab.example.com"和"gitlab.example.com:8080"是两个独立 key - 字段必须用
http-basic，结构为：{"http-basic": {"gitlab.example.com": {"username": "oauth2", "password": "glpat-xxx"}}}，不能写成token或auth
最易被忽略的是：Composer 2.x 对域名大小写更敏感，GitLab.example.com 和 gitlab.example.com 被视为不同源，认证不会复用。
